Quishing – Phishing über QR-Codes erkennen und verhindern

Quishing ist eine Form des Phishings, bei der ein QR-Code zu einer betrügerischen Internetadresse führt. Täter platzieren solche Codes beispielsweise in E-Mails, Rechnungen, Briefen oder auf überklebten Aushängen. Nach dem Scannen erscheint oft ein nachgebautes Anmeldeformular oder eine vermeintliche Zahlungsseite. Ein QR-Code ist an sich kein Schadprogramm: Ausschlaggebend sind die hinterlegte Adresse und die anschließenden Handlungen.

Wie läuft ein QR-Code-Phishing-Angriff ab?

Ein Angreifer erstellt einen QR-Code mit einem Link zu einer von ihm kontrollierten Website. Er verbindet die Grafik mit einer glaubwürdigen Aufforderung: Eine Rechnung sei zu begleichen, ein Benutzerkonto müsse bestätigt oder eine Lieferung neu zugestellt werden. Betroffene scannen den Code mit dem Smartphone. Wird auf der Zielseite ein Passwort, eine Kreditkartennummer oder ein Einmalcode eingegeben, können diese Angaben unmittelbar an Unbefugte gelangen. Auch die Aufforderung zum Herunterladen einer Anwendung kann Teil eines Täuschungsversuchs sein. Der bloße Scan führt aber nicht in jedem Fall zu einer Kompromittierung.

Quishing per E-Mail

In geschäftlichen E-Mails werden QR-Codes bisweilen als vermeintlicher Ersatz für gewöhnliche Links verwendet. Angreifer können behaupten, dass eine Anmeldung aus Sicherheitsgründen über ein Mobilgerät erfolgen müsse. Die Absenderadresse, die angezeigte Domain und die tatsächliche Linkadresse sind getrennt zu überprüfen. Ein bekannter Firmenname im Nachrichtentext ist kein Herkunftsnachweis. Auch eine E-Mail, die sich scheinbar auf eine bestehende Bestellung bezieht, kann gefälscht sein.

Manipulierte QR-Codes auf Aushängen

Ein aufgeklebter Code an einem Parkplatz, einer Ladestation oder einem Informationsschild kann auf eine andere Zahlungs- oder Informationsseite führen als vom Betreiber vorgesehen. Sichtbare Aufkleberkanten und abweichende Internetadressen können Hinweise liefern, sind aber kein zuverlässiger Test. Wer bezahlen soll, sollte den offiziellen Kanal des Betreibers unabhängig ermitteln. Die Anzeige eines HTTPS-Schlosssymbols bestätigt lediglich die Verschlüsselung der Verbindung zu der gerade geöffneten Domain.

Welche Hinweise sollten Mitarbeiter ernst nehmen?

Unerwartete Zahlungsaufforderungen, künstlicher Zeitdruck, die Eingabe von Zugangsdaten auf einer unbekannten Domain und Aufforderungen zur Preisgabe von Einmalcodes verdienen besondere Aufmerksamkeit. Vor dem Öffnen sollte eine Scanner-App nach Möglichkeit die vollständige Zieladresse anzeigen. Danach ist zu prüfen, ob die Domain tatsächlich zum behaupteten Anbieter gehört. Verkürzte Links oder Weiterleitungen können diese Bewertung erschweren. Bei Zweifeln sollte die bekannte Unternehmensadresse direkt eingegeben oder der Geschäftspartner über eine bereits gespeicherte Telefonnummer kontaktiert werden.

Wie wird ein möglicher Angriff untersucht?

Zunächst sollten die ursprüngliche E-Mail oder das Originaldokument, die QR-Code-Grafik, die angezeigte Zieladresse und die relevanten Zeitpunkte gesichert werden. Bei E-Mails sind vollständige Headerdaten hilfreich. Eine verdächtige Webseite sollte nur in einer dafür geeigneten, abgesicherten Untersuchungsumgebung analysiert werden. Screenshots und dokumentierte Weiterleitungsziele können für Meldungen bei Plattformen, Hostern oder Ermittlungsbehörden nützlich sein. Eine einzelne verdächtige Domain beweist noch nicht, wer hinter dem Angriff steht.

Was tun, wenn Zugangsdaten eingegeben wurden?

Die betroffene Person sollte unverzüglich die zuständige IT-Sicherheitsstelle informieren. Passwörter sind über einen vertrauenswürdigen Zugang zu ändern; aktive Sitzungen und gegebenenfalls erteilte Anwendungsfreigaben sollten geprüft werden. Bei eingegebenen Zahlungsdaten ist der jeweilige Zahlungsdienstleister zu kontaktieren. Falls personenbezogene Daten betroffen sind, muss das Unternehmen gesondert beurteilen, ob nach der DSGVO eine meldepflichtige Datenschutzverletzung vorliegt. Sind Mitarbeiterkonten kompromittiert, ist auch auf ungewöhnliche Weiterleitungsregeln und verdächtige Anmeldungen zu achten.

Rechtliche Einordnung

Das Versenden eines QR-Codes ist rechtlich neutral. Bei einer Täuschung zur Erlangung von Geld kann § 263 StGB in Betracht kommen. Bei unbefugtem Zugriff auf besonders geschützte Daten können weitere Strafvorschriften einschlägig sein. Wird für die Täuschung eine fremde Marke verwendet, können abhängig von der konkreten Verwendung markenrechtliche Ansprüche bestehen. Die strafrechtliche Bewertung und eine mögliche Täterschaft dürfen nicht allein aus technischen Auffälligkeiten abgeleitet werden.

Schutz durch BRANDPROTECTIONNOW

BRANDPROTECTIONNOW untersucht bei Marken- und Identitätsmissbrauch verdächtige Zieladressen, nachgebaute Unternehmensseiten und die missbräuchliche Verwendung von Logos oder Firmennamen. Beweise werden dokumentiert und geeignete Meldewege vorbereitet. Bei kompromittierten Systemen können spezialisierte Security-Partner eingebunden werden. Mehr zum Schutz vor digitalem Markenmissbrauch.

Häufige Fragen zu Quishing

Kann ein QR-Code selbst ein Virus sein?

Üblicherweise enthält der Code Daten wie eine Webadresse. Gefährlich können die aufgerufene Seite, ein Download oder die Preisgabe von Zugangsinformationen sein.

Schützt HTTPS vor Quishing?

Nein. Auch Betrüger können ihre Webseiten verschlüsselt anbieten.

Ist jedes QR-Code-Zahlungsangebot verdächtig?

Nein. QR-Zahlungen sind ein reguläres Verfahren. Entscheidend ist die verifizierte Identität des Zahlungsempfängers.